YouTubeで拡散される不正ソフトウェアの罠

このように同一リポジトリ内で配布されるマルウェアが変化していることから、攻撃者は複数種類のマルウェアを攻撃キャンペーンに使用していることが窺えます。

侵害アカウントの共通点

前述の誘導動画を投稿するYouTubeアカウントは、少なくとも数十件あり、常に検索結果に表示され続けています。日々新しいアカウントが侵害を受けているため、侵害アカウントが攻撃から復旧したとしても、別のアカウントがそれに置き換わる状況です。

我々が数日間で調査した範囲でも、下図のような規模で侵害が確認されました。

侵害されていると考えられるYouTubeアカウントの種類は多岐に渡り、動画のジャンルや言語、チャンネルの規模もさまざまです。また、個人が運営するチャンネルだけが被害に遭っているわけではなく、日本企業のチャンネルや外国の国営放送のチャンネルといった組織的に運用するものも被害に遭っています。

例えば、チャンネル登録者数という観点でみれば、数人のチャンネルから100万人を超えているチャンネルまで存在します（下図）。このように、必ずしも登録者数が多いアカウントが狙われているわけではないということがわかります。

侵害後のアカウントには、侵害前に投稿された動画が残っていることが残っていることが多く、短いスパンで誘導用の動画が連続的に投稿されるという特徴があります。なお、侵害前に投稿された動画が攻撃者によって削除された事例も確認しており、侵害された場合に所有者自身が投稿した動画が削除されてしまう可能性は否定できません。

図20 からは、攻撃者が投稿した動画と投稿主の動画が混在しており、攻撃者の動画が数時間の間隔で投稿されていることがわかります。

アカウントの侵害原因

現時点では、YouTubeアカウントの侵害方法について詳細を確認することはできていません。可能性として、侵害原因は次の2つが考えられます。

• フィッシングメール経由の認証情報窃取・不正アクセス
• マルウェア感染による認証情報窃取・不正アクセス

また、あくまで仮説ですが、下記の流れで感染拡大を行っている可能性も考えられます。

1. Youtubeアカウントへの不正アクセス
2. 誘導するための動画投稿
3. マルウェアダウンロードURL配置
4. 誘導
5. マルウェア感染
6. Youtubeアカウントを含む情報窃取

攻撃で使用されるマルウェア

本キャンペーンで攻撃者がYouTube動画からインストールに誘導するファイルは、情報窃取型のマルウェアです。感染するとコンピュータ内のウェブブラウザに保存された認証情報などが窃取されてしまい、さらなる被害に遭う可能性が高いです。

我々が観測した主な情報窃取型のマルウェアは、次に示す通りです。いずれのマルウェアも本キャンペーン特有のものではなく、Malspamなどでも確認されています。

• Lumma Stealer
• Raccoon Stealer
• RedLine Stealer
• Vidar

以下では、本キャンペーンで新たに使用され始めたものと考えられるLumma Stealerについて解説します。

Lumma Stealer

Lumma Stealerは、2022年4月に確認された情報窃取型のマルウェアです。下記のような機能が備わっており、感染した場合、端末内の情報が攻撃者に窃取されます。

• 感染端末のデバイス情報を窃取する機能
• Webブラウザに保存されている認証情報やCookie、閲覧履歴を窃取する機能
• 特定のアプリケーションから情報を窃取する機能
• 仮想通貨ウォレットの情報を窃取する機能
• スクリーンショットを撮影する機能
• Google Chromeの拡張機能から情報を窃取する機能

また、Lumma Stealerは、フォーラムなどで販売されていることが確認されているマルウェアです。サービスの公式サイトと考えられるページがTelegraph上に存在しており、購入案内も記載されています。

購入案内の説明文では、ロシアとベラルーシに対する攻撃ではLumma Stealerの使用が許可されていないことが製品の利用規約として記載されています。

Lumma Stealerの特徴として、検体識別の用途と考えられるID（Lumma ID）やビルド番号と考えられる値が含まれることを確認しています。本調査で確認したビルド番号とIDを下表に示します。

ハッシュ値	Build	ID
da2fa0bdd83853e87d871d18a8e2daa42caca51de4310db06485f901078590c2	20233101	rPoQeq–ramzes-alice
6167c27834aefe5443ba3fc65a9deaea4229873d2b8a8e3b749eeccd1ca61166	20233101	rPoQeq–ramzes-alice
7c0a0aa30757100594146e528a3a74c77f3b2a119d3cc4a9d866739c44e65c96	20233101	rPoQeq–halid

考えられる被害

本キャンペーンで使用されるマルウェアに感染することによって、以下のような影響を受ける可能性が考えられます。

• 感染端末上に保存されている情報の窃取（認証情報、仮想通貨情報の窃取）
• 情報窃取に伴って発生する金銭的な被害
• 侵害されたアカウントの悪用

また、YouTubeアカウントが侵害されることで、以下のような影響を受ける可能性があります。

• 悪性ファイルの配布に関与したことによる、YouTubeチャンネルの信頼度の低下
  （コーポレート利用の場合、企業のレピュテーションに影響するリスクがある）
• YouTube運営によるアカウント停止等の措置に伴う収益化の停止
• 投稿動画の削除被害

他の攻撃キャンペーンとの関連性

本キャンペーンと類似する攻撃として、YouTubeチャンネルを侵害後に、クラックやチートなどの動画投稿ではなく仮想通貨に関連するライブ配信の中継を行うキャンペーンも観測されています。

また、より広い視点で見れば、Web検索結果に偽のインストーラの広告を表示し、マルウェアに感染させようとする攻撃者グループSteelCloverやDEV-0569などと関連する可能性があります。

これらに関して我々は現在調査中であり、次回以降の記事に掲載予定です。